De gevolgen van phishing zijn niet te onderschatten

Phishing is een vorm van online fraude waarbij criminelen via digitale boodschappen mensen proberen te verleiden om naar malafide websites te gaan. Daar vragen ze persoonlijke gegevens, paswoorden of pincodes in te geven. Die informatie misbruiken ze om een identiteit over te nemen, rekeningen leeg te halen of gerichte cyberaanvallen op bedrijven te starten.

Wouter Vandenbussche, Solution Lead Cybersecurity bij Proximus, en Koen Bossaert, Solution Lead Vulnerability Management en co-founder bij Davinsi Labs, vertellen meer over de soorten, de gevaren en de gevolgen.

Phishingvormen

Op basis van het kanaal dat door phishers gebruikt wordt, zijn er verschillende vormen te onderscheiden. Naast de klassieke weg via e-mail, komt phishing ook in andere gedaantes voor:

• Bij vishing of voice phishing bellen fraudeurs hun slachtoffers op. Wanneer de telefoon niet wordt opgenomen, aarzelen ze niet om een voicemailbericht in te spreken. Vaak gebruiken ze krachtige of dreigende taal, die de slachtoffers het gevoel geeft dat ze niet anders kunnen dan de informatie te geven of terug te bellen.
• Smishing is phishing via sms. Cybercriminelen sturen bijvoorbeeld valse sms’en die zogenaamd van koerierdiensten waarin u de levering van uw bestelling kan volgen of veranderen via een malafide link
• Ook via sociale media en instant messaging applicaties maken phishers slachtoffers. Met dubieuze reacties of commentaren wordt best waakzaam mee omgegaan, ook bepaalde accounts kunnen zonder het te weten gehackt zijn.
• Bij clone phishing sturen cybercriminelen replica’s van e-mails die van een vertrouwd bedrijf lijken te komen, maar naar malafide sites leiden.

Bedrijven die 100.000’en euro’s kwijt zijn, CEO’s en CFO’s die ontslagen zijn door phishing: het gebeurt meer dan we denken.

Wouter Vandenbussche, Solution Lead Cybersecurity bij

Verschillende doelwitten

Afhankelijk van het uiteindelijke doel dat ze willen bereiken, richten cybercriminelen hun pijlen op andere doelwitten. Bij phishing wordt een grote groep personen geviseerd en wordt de phishingmail in bulk uitgestuurd.

Spear phishing daarentegen richt zich op één persoon of een specifieke groep van personen (bijv. HR) en de berichten zijn moeilijker te detecteren omdat ze geavanceerder zijn. De phisher doet in dit geval een grondig vooronderzoek en is goed voorbereid.

Richt de aanval zich op leidinggevenden binnen een organisatie die toegang hebben tot zeer waardevolle informatie zoals CEO’s en CFO’s, dan spreken we over whaling. Cybercriminelen hebben quasi altijd financiële bedoelingen. Wordt een bedrijf als doelwit uitgekozen, is dat meestal de eerste stap van een grotere cyberaanval.

De mens als zwakste schakel

Phishing is gevaarlijk omdat het tot enorme schade kan leiden en zich richt op de zwakste schakel in de beveiligingsketen: de mens zelf. “Door phishing zijn al veel bedrijven bijna overkop gegaan”, weet Wouter Vandenbussche. “Ze verliezen 100.000’en euro’s door CEO- of facturatiefraude. Geld dat ze nooit terugzien, want dat wordt razendsnel naar buitenlandse rekeningen versluisd. CEO’s, CFO’s of CIO’s die ontslagen zijn door phishing: het gebeurt helaas meer dan we denken.”

Zelfs als minder dan 0,01% van de ontvangers zijn gegevens doorgeeft, kan de winst voor phishers nog steeds erg groot zijn.

Koen Bossaert, Solution Lead Vulnerability Management bij Davinsi Labs

Honderden miljoenen e-mails per dag

Onderzoek bij bedrijven in België en Nederland toont aan dat deze bedrijven in 2020 het meest bedreigd werden door phishing-aanvallenNieuw venster. Phishing komt veel voor omdat het makkelijk geautomatiseerd kan worden, heel goedkoop en enorm lucratief is. Aanvallers hoeven zelfs de IT-omgeving van het bedrijf dat ze willen aanvallen niet te kennen. Iedereen is er zeker al mee in aanraking gekomen, want elke dag worden honderden miljoenen e-mails verstuurd.

“Zelfs als minder dan 0,01% van de ontvangers zijn gegevens doorgeeft, is de winst nog gigantisch groot. Zeker als de cybercriminelen iemand van een financiële dienst kunnen overtuigen om geld te storten. Of erger nog, als ze toegang krijgen tot bedrijfsrekeningen”, schetst Koen Bossaert.

Phishers kennen de identiteit van hun slachtoffers

Phishing wordt altijd maar specifieker en persoonlijker. Vroeger waren de e-mails in het Engels of gebrekkig Nederlands geschreven. Nu zijn ze in perfect Nederlands opgesteld en spreken ze de bestemmeling zelfs met voor- of achternaam aan. Vaak komen ze zogezegd van klanten of leveranciers, en zelfs van een belangrijke persoon of dienst van het bedrijf.

Het gevaar loert altijd om de hoek, ook bij uw bedrijf. Wouter Vandenbussche: “Een groot Belgisch bedrijf kreeg onlangs een aanval te verwerken op zijn HR-departement. De phishers kenden de personeelsnummers van medewerkers en vroegen uit naam van die mensen om hun rekeningnummer te veranderen. Gelukkig werd die aanval door de cybersecurity van het bedrijf gedetecteerd. Anders waren de phishers met veel lonen en geld aan de haal gegaan.”